Procesos de seguimiento de afiliados datos personales como ID de clic y direcciones IP. Por lo tanto, el GDPR y – tan pronto como algo se almacena o se lee en el dispositivo del usuario – se aplica el § 25 TDDDG. En la práctica, esto significa: afiliado Cookies generalmente necesita consentimiento, el seguimiento pertenece al plataforma de gestión del consentimiento y la declaración de protección de datos, y un contrato se concluye con la red procesamiento de pedidos. Seguimiento sin cookies hace la medición más robusta, pero no reemplaza el consentimiento.
Este artículo ofrece una visión general de la condición jurídica de octubre de 2026 y no reemplaza el asesoramiento jurídico. Haga que su configuración específica sea verificada por su oficial de protección de datos o una firma de abogados.
¿Qué reglas se aplican?
En el marketing de afiliados, tres conjuntos de reglas interconectan. Se refieren a diferentes preguntas – y por lo tanto a menudo se confunden:
| Reglas | Lo que es | Importancia del Marketing de Afiliados |
|---|---|---|
| DSGVO | Cualquier tratamiento de los datos personales requiere una base legal, transparencia y seguridad. | Aplica para hacer clic en IDs, direcciones IP, datos de pedidos y su comparación, independientemente de si las cookies están en juego. |
| § 25 TDDDG | Guardar y leer información en el dispositivo, como cookies o almacenamiento local. | Para las cookies de afiliado y los IDs de clic almacenados, el consentimiento suele ser necesario. |
| UWG | Concurso justo, incluyendo el etiquetado de la publicidad. | Los editores deben hacer que los enlaces de afiliados y las recomendaciones reconocibles como publicidad. |
The TDDDG was called TTDSG until May 2024. En cuanto al contenido, nada ha cambiado en la regla de las cookies en el artículo 25. La base para ello es la Directiva Europea de EPrivacidad, por lo que se aplican normas similares en otros países de la UE. El etiquetado obligatorio es un tema separado, que explicamos en el Guías sobre enlaces de afiliados.
Qué datos están involucrados en el seguimiento de afiliados
Para entender dónde se necesitan los consentimientos, un vistazo al camino de un clic para la comisión ayuda:
- 01Haga clic
El usuario hace clic en un afiliado en el editor. La red registra el clic con sello de tiempo y dirección IP.
- 02Haga clic en ID
La red genera un identificador único y lo adjunta a la URL de destino en la tienda.
- 03Almacenamiento
La tienda o el script de seguimiento almacena el ID de clic, generalmente en un cookie.
- 04Orden
Al comprar, el ID de clic con el número de pedido y el valor del carrito de compras se informa a la red.
- 05Reconciliación
La red asigna la venta al editor y calcula la Comisión.
Los nombres, direcciones o direcciones de correo electrónico de los compradores no necesitan la red para esto. Sin embargo, los IDs de clic y las direcciones IP se consideran datos personales porque pueden ser asignados a una persona o un dispositivo. Por lo tanto, el RGPD siempre es aplicable. Si el § 25 TDDDG también se aplica depende del paso 03: ¿Hay algo almacenado o leído en el dispositivo del usuario?
¿Las cookies de afiliados necesitan consentimiento?
Por regla general, sí. § 25 TDDDG permite el almacenamiento y la lectura de información en el dispositivo terminal sin consentimiento solamente si es absolutamente necesario para un servicio al trabajo que el usuario desea expresamente utilizar – por ejemplo para la cesta o el login. Las autoridades de supervisión de la protección de datos alemanas interpretan esta excepción de manera muy estrecha. El seguimiento, que sirve para facturar con socios publicitarios, no está incluido en la mayoría de la opinión: La tienda trabaja para el cliente incluso sin una cookie de afiliado.
Ocasionalmente, se argumenta que el arreglo de comisiones es indispensable para el modelo de negocio y, por lo tanto, se permite sin consentimiento. No deberías confiar en eso. Cualquiera que establezca cookies afiliadas sin consentimiento corre el riesgo de advertencias y multas – según el TDDDG hasta 300.000 euros, según el GDPR significativamente más.
Desde los fallos del ECJ (Planet49, 2019) y del BGH (Consentimiento de cookies II, 2020), se aplican requisitos claros para el consentimiento efectivo:
- Activo y voluntario: Las cajas preseleccionadas o "La continuidad se considera consentimiento" no son suficientes.
- Antes de establecer: El script afiliado sólo puede cargar después de que el usuario haya consentido.
- Informe: La usuarioidad debe ser capaz de reconocer que los datos se procesan para los programas de socios – idealmente en su propia categoría o con la red como el proveedor nombrado.dicipación conjunto aufap anticipado también.
- Equivalentemente rechazable: Rechazar debe ser tan simple como estar de acuerdo. Un botón "rechazar" claramente visible en el primer nivel es la manera segura.
- Revocable: Los ajustes deben ser abiertos y cambiantes en cualquier momento, por ejemplo a través de un enlace en la calzada.
¿Está rastreando la solución sin cookies?
Cuando Seguimiento sin cookies o servidor a servidor, la tienda reporta el pedido junto con el ID de clic directamente a la red, en lugar de confiar en una cookie en el navegador de la red. Esto hace que el seguimiento sea más robusto contra los bloqueos de anuncios y las restricciones del navegador. Legalmente, sin embargo, no es un pase libre: Tan pronto como el identificador de clics se almacena en el navegador – también como una cookie de primer partido o en el almacenamiento local – § 25 TDDDG se aplica como con cualquier otra cookie.
| Metodología | ¿Se guarda en el dispositivo? | Consentimiento según TDDDG |
|---|---|---|
| Cookies de terceros de la red | Sí. | Normalmente necesario |
| cookie de primera persona o almacenamiento local con click-ID | Sí. | Normalmente necesario |
| Haga clic en ID sólo en el lado del servidor, por ejemplo en la sesión de la tienda | Dependiendo de la aplicación | Comprobación por caso |
| Código de cupón en el checkout | No | No es necesario |
| Fingerprinting | Lea la información del dispositivo | Necesario – y visto especialmente críticamente por las autoridades de supervisión |
Los códigos de cupón son el único método común que maneja sin guardar en el dispositivo. Aquí también, sin embargo, los datos se procesan: el orden y el código se asignan a un editor. La base legal para ello es generalmente el interés legítimo por naturaleza. 6 par. 1 lit. f GDPR, y el proceso pertenece a la declaración de protección de datos.
Qué navegadores restringen adicionalmente
Independientemente de la ley, los navegadores también limitan cuánto tiempo y si se preserva la información de seguimiento:
- Safari
- Bloquea completamente las cookies de terceros. Las cookies establecidas por primera vez a través de JavaScript expiran después de siete días a más tardar, en algunos casos después de 24 horas.
- Firefox
- Separa las cookies por sitio web por defecto. Por lo tanto, las cookies de terceros de una red no se reconocen a través de páginas.
- Chrome
- No ha implementado la salida anunciada de cookies de terceros, pero las restringe en modos individuales. Nadie debe confiar en eso.
- Ad-blocker
- Bloquear dominios de rastreo conocidos. El seguimiento de servidor a servidor apenas se ve afectado.
La consecuencia para los anunciantes: Una configuración limpia combina el consentimiento, el almacenamiento de primera mano y un mensaje lado servidor a través de Postback. Esto registra cada venta para la que se ha dado el consentimiento - y no sólo aquellos para los que el navegador juega al azar.
¿Quién es el responsable?
La ley de protección de datos determina quién determina el propósito y los medios de procesamiento. En el marketing de afiliados, la siguiente imagen generalmente emerge:
Responsable de rastreo en tu propia tienda. Obtiene el consentimiento, informa en la declaración de protección de datos y mantiene el procesamiento en la lista de actividades de procesamiento.
Dependiendo del modelo de contrato, procesadores por tipo. 28 GDPR, conjuntamente responsable por el arte. 26 RGPD o persona responsable independiente. El modelo debe estar claramente regulado en el Tratado.
Responsable de su propio sitio web o canal. No recibe datos de clientes de la tienda – sólo ve las comisiones anonymizedidau salesidauidauauauauauauauauau.
Si la red funciona como procesador, necesita un contrato para procesamiento de pedidos (AVV). Además, preste atención a dónde se procesan los datos: Para servidores fuera de la UE, se agregan las reglas para transferencias de terceros países. Adlesa trabaja como procesador según el arte. 28 GDPR y acoge todos los datos en centros de datos en Frankfurt am Main – más sobre plataforma página.
Lista de verificación para los anunciantes
Con estos siete pasos implementa el seguimiento de afiliados en cumplimiento de la protección de datos:
- Documentando la configuración de seguimiento. Grabar qué scripts, cookies y mensajes de servidor se utilizan para el seguimiento de afiliados y qué flujos de datos.
- Compruebe el contrato con la red. Aclarar la distribución de roles y completar un VV al procesar pedidos. Compruebe la ubicación del servidor.
- Incorporar el seguimiento en la plataforma de gestión del consentimiento. Crear la red como proveedor, asignarla a una categoría como "Marketing" o "Programas de socios" y describir el propósito claramente.
- Cargar scripts sólo después del consentimiento. Controle el script del afiliado a través de la plataforma de gestión del consentimiento o gestor de etiquetas. Prueba con el consentimiento rechazado que realmente no se establece nada.
- Transfer consent status to the network. Así, la red puede manejar correctamente las ventas sin consentimiento, en lugar de procesarlas de manera tácita.
- Complementa la política de privacidad.Objetivo específico, base jurídica, destinatario, duración del almacenamiento y Duración de las cookies del seguimiento de afiliados – también para códigos de vales.
- Mantenga el directorio de procesamiento y los períodos de eliminación. Introduzca el seguimiento y especifique cuándo se eliminarán los datos de clic y orden.
Lo que los editores necesitan considerar
Para los editores, el esfuerzo es mucho más pequeño, porque el seguimiento real sucede en la red y en la tienda. Sin embargo, se aplican algunos puntos:
- Declaración de privacidad: Mención de que su sitio contiene enlaces de afiliados y los usuarios se envían a la red y tienda al hacer clic.
- Herramientas de rastreo propias: Para herramientas de análisis, haga clic en el seguimiento o en los creativos integrados con sus propios scripts en su sitio web, generalmente necesita su propio consentimiento.
- Los enlaces puros son poco críticos: Un simple enlace de texto no establece cookies en su página. El seguimiento comienza sólo después de hacer clic en la red.
- Etiqueta: Independientemente de la privacidad, debe etiquetar enlaces de afiliados como publicidad.
Más consentimientos, menos comisiones perdidas
Cualquier venta sin consentimiento es una comisión perdida para los editores – y para los anunciantes una razón por la cual los socios promueven su programa menos. La tasa de consentimiento puede mejorarse sin empujar a los usuarios:
“Medimos a través de qué socios vienes a nosotros para que sean pagados con justicia” convence más que un bloque legal de texto.
La duración de los textos, el orden de las categorías y la colocación afectan a la tasa. Prueba variantes sin complicar el rechazo.
Los códigos asignan ventas incluso sin consentimiento en las cookies. Son especialmente adecuados para creadores y boletines.
Explique a los editores su configuración de seguimiento. Cualquiera que entienda por qué los números fluctuan sigue siendo fiel al programa.
Errores frecuentes
- Seguimiento de cargas antes del consentimiento. El error más común: El script está permanentemente instalado en la tienda y funciona independientemente del banner de cookies.
- Clasifique el seguimiento de afiliados como “necesario”. Esto evita el consentimiento – y eso es exactamente lo que las autoridades supervisoras ven críticamente.
- Confuso "sin cookies" con "libre de consentimiento". Las cookies propias y el almacenamiento local también están cubiertas por el artículo 25 TDDDG.
- Falta de contrato con la red. Sin AVV o distribución de funciones clara, falta la base para la transferencia de datos.
- Olvidó códigos de cupón. La asignación mediante códigos es también un procesamiento de datos personales y pertenece a la declaración de protección de datos.
- Banner sin botón de rechazo. Una forma oculta o engorrosa de rechazar hace que el consentimiento sea vulnerable.
¿Quieres saber cómo se establece un programa de socios limpiamente desde el principio? Lea en el Directriz para construir su propio programa de socios.